• Email
• Facebook
• Twitter
• Google+
• Linkedin

Ransom.MSIL.CRYPTEAR.A

---

• マルウェアタイプ: 身代金要求型不正プログラム（ランサムウェア）
• 破壊活動の有無: なし
• 暗号化: なし
• 感染報告の有無: はい

---

  概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。 マルウェアは、実行後、自身を削除します。

---

  詳細

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、異なるファイル名を用いて以下のフォルダ内に自身のコピーを作成します。

• %System Root%\{username}\Systems\local.exe

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)

マルウェアは、以下のフォルダを作成します。

• %System Root%\{username}\Systems
• %System Root%\{username}

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Systems = "%System Root%\{username}\Decrypter.exe"

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• http://{BLOCKED}agy.ru/Decrypter.exe
• http://{BLOCKED}agy.ru/ransom.jpg

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %Desktop%\Decrypter.exe - Ransomware Decrypt screen
• %System Root%\{username}\ransom.jpg - Wallpaper
• %System Root%\{username}\Decrypter.exe - Ransomware Decrypt screen

(註：%Desktop%フォルダは、現在ログオンしているユーザのデスクトップです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\Desktop" です。. %System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)

その他

マルウェアは、以下のWebサイトにアクセスしてインターネット接続を確認します。

• https://maper.info/XGnV6

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}agy.ru/write.php?computer_name={computer name}&userName={username}&password={15 random characters}&allow=ransom

マルウェアは、実行後、自身を削除します。

ランサムウェアの不正活動

マルウェアは、以下の文字列を含むファイルを暗号化します。

• .001
• .7-zip
• .ace
• .apk
• .arj
• .asp
• .aspx
• .avi
• .bmp
• .bz2
• .c
• .cab
• .contact
• .core
• .cpp
• .crproj
• .cs
• .csv
• .dat
• .db
• .dll
• .doc
• .docx
• .dwg
• .exe
• .f3d
• .gzip
• .htm
• .html
• .ico
• .iso
• .jar
• .jpg
• .lnk
• .lzh
• .mdb
• .mkv
• .mov
• .mp3
• .mp3
• .mp4
• .mpeg
• .mpg
• .odt
• .pas
• .pdb
• .pdf
• .php
• .png
• .ppt
• .pptx
• .psd
• .py
• .rar
• .rtf
• .settings
• .sln
• .sql
• .tar
• .torrent
• .txt
• .uue
• .xls
• .xlsx
• .xml
• .xz
• .z
• .zip

マルウェアは、以下の名称を利用して暗号化されたファイルのファイル名を改称します。

• {encrypted file}.Pox

マルウェアが作成する以下のファイルは、脅迫状です。

• %Desktop%\HOW TO DECRYPT FILES.txt

(註：%Desktop%フォルダは、現在ログオンしているユーザのデスクトップです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\Desktop" です。)

マルウェアは、以下の内容を含む脅迫状のテキストファイルを残します。

• 

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください